Quelltext der Seite SSL mit CACert

Funkfeuer verwendet oft [http://CACert.org CACert.org] als [http://en.wikipedia.org/wiki/Certificate_Authority CA].
Wir erstellt man am besten Zertifikate für CACert?

Zuerst erzeugt man einen sogenannten [http://en.wikipedia.org/wiki/Certificate_signing_request CSR]. Das macht man im speziellen, sodass es mit CACert.org kompatibel ist, über dieses [http://wiki.cacert.org/CSRGenerator Script].
Wenn der Server mehrere domain namen hat, dann müssen alle diese domain namen (inklusive dem Haupt-namen, common name, CN) im SubjAlt Name aufgeführt werden.

Anschliessend wird der CSR einem Funkfeuer admin übergeben, der via cacert.org den signing request signieren kann. Der admin wird dann das fertige Zertifikat retour schicken.

Wie wird das Zertifikat nun in einen Server eingetragen?

Beispielsweise so (für den Apache2 Webserver):

<code>
  $ cat /etc/apache2/sites-enabled/default
  
  &lt;VirtualHost *:443&gt;
      ServerName   mein.server.at
      ServerAlias     alias.mein.server.at  mein.server.at
      DocumentRoot /home/www
      ...
      SSLEngine on
      SSLCertificateFile /etc/ssl/certs/mein.server.at.pem
      SSLCertificateKeyFile /etc/ssl/private/mein.server.at.key
      SSLCipherSuite HIGH
      SSLProtocol all -SSLv2
  &lt;/VirtualHost&gt;

</code>

Man beachte, dass man noch (unter Debian squeeze zumindest) die richtigen permissions für die Zertifikate braucht:

  $ chown www-data /etc//ssl/certs/mein.server.at.pem 
  $ chown www-data /etc//ssl/private/mein.server.at.key 
 
Und der apache User sollte in der Gruppe ssl-certs sein.